JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-010689 iCalendarはRFC-5545で定義されたiCalendar形式のファイルを扱うRubyライブラリであり、バージョン2.0.0から2.12.2未満には.icsファイルのURIプロパティ値が適切にサニタイズされない問題があります。この問題により、攻撃者は制御可能な入力を使用してICSインジェクションを行い、任意のカレンダー行を出力に追加できる恐れがあります。具体的には、Icalendar::Values::UriはURI.parseが失敗した場合に元の入力文字列を返し、その後のシリアライズ処理で改行コードを適切に除去またはエスケープしないため、CRLFを含むペイロードが元のプロパティを終了させ、新たなICSプロパティやコンポーネントを作成するリスクがあります。この脆弱性はurl、source、image、organizer、attach、attendee、conference、tzurlといったプロパティ経由でのインジェクションを可能にします。部分的に信頼されていないメタデータから.icsファイルを生成するアプリケーションが影響を受けるため、結果として下流のカレンダークライアントやインポーターが攻撃者の供給した内容を正当なイベントデータとして処理し、参加者の追加やURLの変更、アラームやその他のカレンダー項目の改変が行われる可能性があります。本問題はバージョン2.12.2で修正されました。 cpe:/a:icalendar_project:icalendar https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-010689.html Common Vulnerabilities and Exposures (CVE) CVE-2026-33635 https://www.cve.org/CVERecord?id=CVE-2026-33635 National Vulnerability Database (NVD) CVE-2026-33635 https://nvd.nist.gov/vuln/detail/CVE-2026-33635 GitHub ics injection via unsanitized URI property values Advisory icalendar/icalendar GitHub https://github.com/icalendar/icalendar/security/advisories/GHSA-pv9c-9mfh-hvxq GitHub ruby-advisory-db/gems/icalendar/CVE-2026-33635.yml at master rubysec/ruby-advisory-db GitHub https://github.com/rubysec/ruby-advisory-db/blob/master/gems/icalendar/CVE-2026-33635.yml JVNDB CWE-93 https://cwe.mitre.org/data/definitions/93.html 関連文書 Merge commit from fork icalendar/icalendar@b8d23b4 GitHub https://github.com/icalendar/icalendar/commit/b8d23b490363ee5fffaec1d269a8618a912ca265 2026-04-13T11:15:09+09:00 2026-04-13T11:15:09+09:00